org.apache.shiro1.3.2的0day漏洞

最新推荐文章于 2023-04-18 15:06:46 发布
最新推荐文章于 2023-04-18 15:06:46 发布
阅读量1.2k 收藏 1
点赞数
分类专栏： 安全 坑 学习 文章标签： java spring
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44464726/article/details/108051667
版权
学习 同时被 3 个专栏收录
13 篇文章 1 订阅
订阅专栏
坑
5 篇文章 0 订阅
订阅专栏
安全
1 篇文章 0 订阅
订阅专栏

0day漏洞，可以直接控制服务器，需要替换版本升级至1.5.2及以上版本在这里插入图片描述

a少年不年少
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
shiro1.3.2 jars.rar
06-17
包含Apache Shiro1.3.2版本的jars包，真实可靠，升级首选，避免漏洞！
shiro(shiro1.3.2)
03-21
压缩包内容： shiro-all-1.3.2.jar log4j-1.2.15.jar slf4j-api-1.6.1.jar slf4j-log4j12-1.6.1.jar
Apache Shiro系列漏洞利用以及实战总结
web17886480312的博客
09-01 716
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。内置了可以连接大量安全数据源（又名目录）的Realm，如LDAP、关系数据库（JDBC）、类似INI的文本配置资源以及属性文件等。...
框架、组件漏洞系列4：Apache shiro漏洞汇总
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
12-14 3637
一、Apache Shiro 简介 1、什么是shiro Apache Shiro提供了认证、授权、加密和会话管理功能，将复杂的问题隐藏起来，提供清晰直观的API使开发者可以很轻松地开发自己的程序安全代码。并且在实现此目标时无须依赖第三方的框架、容器或服务，当然也能做到与这些环境的整合，使其在任何环境下都可拿来使用。 Shiro将目标集中于Shiro开发团队所称的“四大安全基石”-认证（Authentication）、授权（Authorization）、会话管理（Session Management）和加.
java反序列化漏洞 https服务_25. Apache Shiro Java反序列化漏洞
weixin_39619481的博客
02-25 145
前言：最近在审核漏洞的时候，发现尽管Apache shiro这个反序列化漏洞爆出来好久了，但是由于漏洞特征不明显，并且shiro这个组件之前很少听说，导致大厂很多服务还存在shiro反序列化的漏洞，这里对漏洞进行简单分析与复现。一.漏洞前析0x01 什么是Apache Shiro？Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理...
Apache Shiro Java反序列化漏洞分析
2301_77512689的博客
04-18 489
最终利用ysoserial的CommonsBeanutils1命令执行。虽然在ysoserial里CommonsBeanutils1类的版本为1.9.2，不过上面环境测试确实可以命令执行。这里当时有一个问题是：如何获取Java里引用组件的版本？大多数的时候，我们只要解析pom.xml就能解析出相应组件的版本。但有的情况下，并不能获取组件的版本。比如有的pom.xml并没有设置组件的version版本，没有设置version的情况，是由依赖决定。项目中依赖了A，A依赖了B，B的版本由A决定；
Shiro反序列化漏洞
热门推荐
Kevin's Blog
06-01 1万+
文章目录一、漏洞介绍1.1 简介1.2 漏洞原理1.3 漏洞特征1.4 漏洞影响二、环境配置三、漏洞利用3.1 利用方法（一） 一、漏洞介绍 1.1 简介   Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。java中的权限框架有SpringSecurity和Shiro，由于Spring功能强大但复杂，Shiro的简单强大，扩展性好因此用的还是很多。 1.2 漏洞原理   Apache Shiro框架提供了记住我的功能（RememberMe），用户登录成功后会生成经过加密并
反序列化利用工具_Shiro反序列化漏洞利用汇总
weixin_42628280的博客
01-25 3977
“ Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。Shiro框架直观、易用，同时也能提供健壮的安全性。”文章目录：1、Shiro rememberMe反序列化漏洞(Shiro-550)1.1 漏洞原理1.2 影响版本1.3 漏洞特征1.4 漏洞利用1.4.1 利用方式一：反弹shell1.4.2 利用方式二：写入文件2、Shiro Pa...
shiro反序列化漏洞学习（工具+原理+复现）
qq_49849300的博客
03-10 1万+
由于shiro反序列化需要用到AES加密，而该加密方法的密钥是加解密一致的，所以我们使用shiro反序列化时，AES加密的密钥必须跟服务器一致，所以经常需要盲猜服务器的密钥，好在java开发们一般都不会去修改它，而且常常直接copy论坛和github上的代码，所以可以大量收集各种密钥，然后遍历来完成反序列化漏洞利用。反过来，把字节序列（json/xml）恢复为Java对象的过程就叫反序列化。"方法，Base64.decode()中的字符串就是shiro的密钥，要确保该密钥的安全性，千万不要使用公开的密钥。
[CVE-2020-13933]Shiro权限绕过导致的Nexus漏洞
公众号shadow sock7
10-22 1334
参考： https://support.sonatype.com/hc/en-us/articles/360053556313-CVE-2020-13933-Nexus-Repository-Manger-2-3-Shiro-Authentication-Bypass https://issues.sonatype.org/browse/NEXUS-25086 https://help.aliyun.com/noticelist/articleid/1060730690.html https://gith
Shiro1.3.2 source
09-18
shiro-1.3.2源码 Shiro 是一个权限控制框架，因其简单而又不失强大的特点引起了不少开发者的注意。找了好久才找到
shiro1.3.2 源码和jar包
03-23
shiro ，源码，jar包全部是1.3.2 版本提取的： shiro ，源码，jar包全部是1.3.2 版本提取的：
shiro-1.3.2
07-12
shiro-1.3.2 zip包
Apache Shiro核心jar包：shiro-core-1.3.2
12-07
Apache Shiro是一个强大易用的Java安全框架,提供了认证、授权、加密和会话管理等功能。 使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。
org.apache.aries.jax.rs.shiro.authz-1.1.0.pom
03-05
Aries项目正在提供一组可插入的Java组件，以支持企业OSGi应用程序编程模型。 这包括由OSGi联盟企业专家组（EEG）定义的以应用程序为中心的规范的实现和扩展，以及用于多捆绑应用程序的组装格式，以便将其部署到各种...
org.apache.aries.jax.rs.shiro.authz-1.1.0.jar
03-05
Aries项目正在提供一组可插入的Java组件，以支持企业OSGi应用程序编程模型。 这包括由OSGi联盟企业专家组（EEG）定义的以应用程序为中心的规范的实现和扩展，以及用于多捆绑应用程序的组装格式，以便将其部署到各种...
shiro-crypto-hash-1.4.0-API文档-中文版.zip
07-12
Maven坐标：org.apache.shiro:shiro-crypto-hash:1.4.0； 标签：apache、shiro、crypto、hash、中文文档、jar包、java； 使用方法：解压翻译后的API文档，用浏览器打开“index.html”文件，即可纵览文档内容。 人性...
Shiro 历史漏洞分析
include_voidmain的博客
09-19 820
Shiro 历史漏洞分析
Apache Shiro 身份验证绕过漏洞复现（CVE-2016-6802）
渗透测试研究中心
11-29 274
0x00 漏洞详情shiro在路径控制的时候，未能对传入的url编码进行decode解码，导致攻击者可以绕过过滤器，访问被过滤的路径。0x01 漏洞影响shrio <1.3.20x02 环境搭建由于这个版本还没有shiro-spring-boot-starter，只能从 GitHub 上获取项目进行测试，https://github.com/godzeo/shiro_1.2.4_samp...
SLF4J: No SLF4J providers were found. SLF4J: Defaulting to no-operation (NOP) logger implementation SLF4J: See https://www.slf4j.org/codes.html#noProviders for further details. Exception in thread "main" org.apache.shiro.config.ConfigurationException: Unable to instantiate class [org.apache.shiro.web.mgt.DefaultWebSecurityManager] for object named 'securityManager'. Please ensure you've specified the fully qualified class name correctly. at org.apache.shiro.config.ReflectionBuilder.createNewInstance(ReflectionBuilder.java:309) at org.apache.shiro.config.ReflectionBuilder$InstantiationStatement.doExecute(ReflectionBuilder.java:927) at org.apache.shiro.config.ReflectionBuilder$Statement.execute(ReflectionBuilder.java:887) at org.apache.shiro.config.ReflectionBuilder$BeanConfigurationProcessor.execute(ReflectionBuilder.java:765) at org.apache.shiro.config.ReflectionBuilder.buildObjects(ReflectionBuilder.java:260) at org.apache.shiro.config.IniSecurityManagerFactory.buildInstances(IniSecurityManagerFactory.java:167) at org.apache.shiro.config.IniSecurityManagerFactory.createSecurityManager(IniSecurityManagerFactory.java:130) at org.apache.shiro.config.IniSecurityManagerFactory.createSecurityManager(IniSecurityManagerFactory.java:108) at org.apache.shiro.config.IniSecurityManagerFactory.createInstance(IniSecurityManagerFactory.java:94) at org.apache.shiro.config.IniSecurityManagerFactory.createInstance(IniSecurityManagerFactory.java:46) at org.apache.shiro.config.IniFactorySupport.createInstance(IniFactorySupport.java:123) at org.apache.shiro.util.AbstractFactory.getInstance(AbstractFactory.java:47) at com.xiu.Quickstart.main(Quickstart.java:26) Caused by: org.apache.shiro.util.UnknownClassException: Unable to load class named [org.apache.shiro.web.mgt.DefaultWebSecurityManager] from the thread context, current, or system/application ClassLoaders. All heuristics have been exhausted. Class could not be found. at org.apache.shiro.util.ClassUtils.forName(ClassUtils.java:152) at org.apache.shiro.util.ClassUtils.newInstance(ClassUtils.java:168) at org.apache.shiro.config.ReflectionBuilder.createNewInstance(ReflectionBuilder.java:302) ... 12 more
最新发布
06-10
这个异常是因为 Shiro 框架没有找到 SLF4J（Simple Logging Facade for Java）的实现类，导致默认使用了 NOP（No-Operation）日志记录器实现。 可以通过以下几个步骤解决这个异常： 1. 确保在应用程序的 classpath 下存在 SLF4J 的实现类，比如 Logback、Log4j 等。 2. 确认应用程序中已经正确引入了 SLF4J 的依赖，比如以下 Maven 依赖： ``` <dependency> <groupId>org.slf4j</groupId> <artifactId>slf4j-api</artifactId> <version>1.7.30</version> </dependency> <dependency> <groupId>ch.qos.logback</groupId> <artifactId>logback-classic</artifactId> <version>1.2.3</version> </dependency> ``` 3. 确认 SLF4J 的配置文件是否正确，比如 logback.xml 或者 log4j.properties 等。 如果以上步骤都没有解决问题，可以尝试修改 Shiro 的日志记录器实现类，比如使用 Logback 作为日志记录器实现： ``` # 修改 Shiro 的日志记录器实现类为 Logback log4j.logger.org.apache.shiro=INFO, stdout log4j.logger.org.apache.shiro.util.ThreadContext=INFO, stdout log4j.logger.org.apache.shiro.realm=INFO, stdout log4j.logger.org.apache.shiro.web=INFO, stdout log4j.logger.org.apache.shiro.cache=INFO, stdout log4j.logger.org.apache.shiro.session=INFO, stdout # Logback 配置文件，可以将日志输出到控制台 <configuration> <appender name="STDOUT" class="ch.qos.logback.core.ConsoleAppender"> <encoder> <pattern>%d [%thread] %-5level %logger{36} - %msg%n</pattern> </encoder> </appender> <logger name="org.apache.shiro" level="INFO"/> <root level="DEBUG"> <appender-ref ref="STDOUT" /> </root> </configuration> ```

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值